Près de 800 paquets npm malveillants exploitent les hallucinations des IA
Une récente analyse menée par Sonatype révèle une campagne malveillante impliquant près de 800 paquets npm, désignée sous le nom de Flooding Dropper. Cette campagne est associée à une précédente vague, Moika, qui avait déjà vu la publication de plus de 250 paquets npm au printemps dernier. Les paquets malveillants tentent d’interroger trois serveurs hébergés par Cloudflare Workers. En cas d’échec, ils se tournent vers le DNS pour récupérer le programme.
Le DNS, habituellement utilisé pour traduire un nom de domaine en adresse IP, est détourné ici pour transporter le programme malveillant, dissimulé dans le texte des réponses DNS. Le paquet commence par recevoir un nombre de blocs à récupérer, qui peut varier de 1 à 2 000. Chaque bloc est interrogé individuellement, puis reconstitué et déchiffré en base64 pour former le fichier final. Ce dernier est exécuté via /bin/sh sur Linux et macOS, ou cmd.exe sur Windows. Sur macOS, le programme télécharge un second fichier, beacon_mac.bin, en utilisant HTTPS, et si cela échoue, il recourt à la méthode DNS.
Avant son exécution, le programme vérifie l’absence de débogueurs et de machines virtuelles, ce qui indique qu’il s’agit d’une machine d’analyse plutôt que d’un poste de travail standard. Il se réinstalle automatiquement à chaque connexion, se faisant passer pour un composant d’Apple, com.Apple.windowserver.helper. La version Linux, compressée avec l’outil UPX, télécharge également Sliver, un outil open source de prise de contrôle à distance, souvent utilisé à des fins de test de sécurité, mais détourné ici à des fins malveillantes.
Une fois le programme actif, l’attaquant peut contrôler la machine à distance et récupérer des jetons npm ainsi que des identifiants cloud. Ces informations volées peuvent être utilisées pour publier de nouvelles versions compromettantes d’autres paquets ou pour infiltrer d’autres serveurs de l’entreprise. De plus, le code malveillant contient les noms de deux banques russes, tcsbank.ru et cloudpayments.ru, mais il reste incertain si celles-ci sont des cibles réelles ou des tests de connexion utilisés par les attaquants.
Source : Sonatype
